Secure Access VPN - يتعذر الوصول إلى Jabber

مسألة

تعذر على مستخدمي Secure Client الوصول إلى التطبيقات الداخلية والخاصة مثل Jabber و EPIC عبر نفق VPN للوصول الآمن عند إستخدام نهج وصول خاص. واجه المستخدمون حالات فشل في الاتصال عند محاولة الوصول إلى تطبيقات الأعمال الهامة هذه من خلال اتصال VPN. أثناء أستكشاف الأخطاء وإصلاحها، تمت ملاحظة حركة مرور أحادية الإتجاه لموارد EPIC حيث تم مشاهدة حركة مرور TCP SYN و ping أثناء تجاوز نفق VPN للوصول الآمن، ولكن تم تحديد مشاكل التحقق من صحة حركة مرور البيانات العائدة على جدار حماية Palo Alto. وبالإضافة إلى ذلك، تم توثيق مشاكل إمكانية الوصول إلى Jabber حيث كانت CUCM FQDNs تحل عبر DNS الداخلي بينما تم تكوين توجيه حركة المرور للتوجيه المستند إلى IP، مما تسبب في عدم تطابق في تدفق حركة المرور.

البيئة

• الوصول الآمن من Cisco باستخدام تكوين نفق VPN
• Secure Client لاتصال VPN
• تنفيذ سياسة الوصول إلى القطاع الخاص
• Cisco Unified Communications Manager (CUCM) لخدمات Jabber
• موارد تطبيق EPIC
• جدار حماية Palo Alto لأمان الشبكة
• دقة DNS الداخلية لشبكات CUCM FQDNs

قرار

تضمن الحل تغييرات متعددة في التكوين وخطوات أستكشاف الأخطاء وإصلاحها لاستعادة الاتصال بالتطبيقات الداخلية من خلال نفق VPN الخاص بالوصول الآمن:

تعديلات تكوين الشبكة الفرعية والنفق

الخطوة 1: إضافة شبكات فرعية إضافية إلى نفق VPN

تمت إضافة شبكات فرعية إضافية إلى تكوين نفق VPN للموارد المتأثرة. بعد تنفيذ هذا التغيير، بدأ تحميل الموارد التي كان يتعذر الوصول إليها سابقا بنجاح.

تكوين توجيه عنوان CUCM IP

الخطوة 2: تكوين توجيه CUCM IP

لحل مشكلة اتصال Jabber حيث كانت CUCM FQDNs تحل عبر DNS الداخلي بينما كان توجيه حركة المرور يستند إلى IP، تم توجيه عناوين IP CUCM إلى "عميل آمن". قام تغيير التكوين هذا بمحاذاة حل DNS مع آلية توجيه حركة مرور البيانات.

الخطوة 3: إنشاء قاعدة نهج الوصول

تم إنشاء قاعدة سياسة وصول للسماح بالوصول إلى عناوين IP الخاصة ب CUCM. قامت هذه القاعدة باستعادة الاتصال المناسب بالبنية الأساسية ل CUCM، مما أتاح وظائف Jabber عبر نفق VPN.

تكوين المسار الثابت

الخطوة 4: تكوين التوجيه الثابت للشبكة الفرعية CUCM

تأكد من تضمين عناوين IP الخاصة ب CUCM والشبكة الفرعية العامة CUCM في جدول التوجيه الثابت لنفق الشبكة. يضمن هذا التكوين التوجيه المناسب لحركة مرور البيانات بين تجمع مستخدمي العميل الآمن وبنية CUCM الأساسية.

التحقق من صحة حركة مرور الإرجاع

الخطوة 5: التحقق من صحة تدفق الحزمة وحركة المرور العائدة

تحقق من تكوين تدفق الحزمة لتأكيد إمكانية وصول حركة المرور العائدة إلى تجمع مستخدمي العميل الآمن. وهذا يشمل مراجعة تكوين جدار حماية Palo Alto لضمان التحقق من مسار الإرجاع المناسب لجميع الموارد الداخلية، وخاصة لاتصال EPIC حيث تمت ملاحظة حركة مرور أحادي الإتجاه.

السبب

نتجت مشاكل الاتصال عن وجود فجوات متعددة في التكوين في تنفيذ شبكة VPN الخاصة بالوصول الآمن:

• أدت تكوينات الشبكة الفرعية المفقودة في نفق VPN إلى منع التوجيه المناسب إلى موارد التطبيق الداخلية
• تسبب عدم التطابق بين تحليل DNS (المستند إلى FQDN) وتكوين توجيه حركة مرور البيانات (المستند إلى IP) لخدمات CUCM في حدوث حالات فشل في اتصال Jabber
• قواعد سياسة الوصول غير المكتملة التي لا تسمح بحركة المرور إلى عناوين IP الخاصة ب CUCM
• إدخالات التوجيه الثابتة المفقودة للشبكات الفرعية CUCM في تكوين نفق الشبكة
• إرجاع مشاكل التحقق من مسار حركة المرور على جدار حماية Palo Alto الذي يؤثر على الاتصال ثنائي الإتجاه

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco